CVE-2026-42090
Təsvir
Notesnook istifadəçi məxfiliyine və istifadə rahatlığına yönəlmiş qeyd götürmə tətbiqidir. Notesnook Web/Desktop versiya 3.3.15-dən və Notesnook iOS/Android versiya 3.3.20-dən əvvəlki versiyalarda, qeydlərin ixracı prosesindəki saxlanılan saytlararası skriptinq (XSS) zəifliyi masaüstü tətbiqdə uzaqdan kodun icrasına (RCE) çevrilə bilər. Problemin kökü ondan ibarətdir ki, başlıq, alt başlıq və məzmun kimi ixrac edilən qeyd sahələri HTML escape edilmədən generatsiya edilmiş HTML şablonuna daxil edilir. Qeyd daha sonra PDF formatında ixrac edildikdə, Notesnook həmin HTML-i `iframe.srcdoc = ....` vasitəsilə eyni mənşəli (same-origin), sandbox olunmamış iframe-də render edir. İnjeksiya edilmiş skript Notesnook mənşəyində icra olunur. Masaüstü tətbiqdə Electron `nodeIntegration: true` və `contextIsolation: false` olaraq konfiqurasiya edildiyi üçün bu, RCE-yə çevrilir. Bu problem Notesnook Web/Desktop versiya 3.3.15 və Notesnook iOS/Android versiya 3.3.20 versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- streetwriters notesnook_desktop3.3.15 və ya daha yeni versiya
- streetwriters notesnook_mobile3.3.20 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| streetwriters notesnook_desktop | v < 3.3.15 | 3.3.15 |
| streetwriters notesnook_mobile | v < 3.3.20 | 3.3.20 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.